如何设置Firebase数据库规则？如何防止被删除的用户写

Question

介绍

我正在构建firebase web客户端应用程序。我想设置Firebase数据库规则。

1. 新用户注册到Firebase应用程序。Firebase给他一个用户。UID。
2. 然后，管理员删除或禁用Firebase管理控制台中的用户。
3. 用户刷新客户端应用程序。
4. （我发现）用户仍然可以写入Firebase数据库，即使他的帐户已被删除/禁用。

...

目标/意图

我想设置一个规则，当用户不存在或在管理控制台/（auth/users）中被禁用时，阻止访问firebase数据库（.read或.write）。

像这样的事情：

"rules":{
  "$uid":{
    ".write":"auth.isUserActive(auth.uid) == true"
  }
}

...

FIREBASE参考文件：https://firebase.google.com/docs/reference/security/database/#auth

问题

如何实现上述意图？我应该设置什么规则到Firebase DB？

Answer 1

您可以按照doc-v2

var FirebaseTokenGenerator = require("firebase-token-generator.js");
var tokenGenerator = new FirebaseTokenGenerator(FIREBASE_SECRET);
var token = tokenGenerator.createToken({ "uid": "1", "hasEmergencyTowel": true });

对于上面创建的令牌，可以将规则编写如下：

{
  "rules": {
    "frood": {
      ".read": "auth.hasEmergencyTowel === false"
    }
  }
}

这可以在UID范围id即将结束时调用。

供参考：基于用户的安全文档-v2

Answer 2

删除用户不会撤销该用户的现有令牌。请参阅用户删除时未撤销Firebase身份验证？。如果您使用的是标准身份提供者之一，这意味着用户在删除帐户后一小时内仍可以访问数据。

代码中没有应用编程接口来检查给定的uid是否仍然存在。即使有这样的应用编程接口，在这种情况下也没有用，因为恶意用户可以绕过检查直接调用应用编程接口。

处理这种情况的一个简单方法是在数据库中保留一个允许或不允许用户的白名单。对于黑名单，您需要保留一个禁止/删除用户的顶级（世界可读，管理员仅可写）列表：

banned
  uid12345: true

当管理员删除用户时，他们也会将其添加到此列表中。

然后在你的安全规则中，你检查并禁止被禁止的用户访问。例如。：

"posts": {
  ".read": "auth != null && !root.child('banned').child(auth.uid).exists()"
}